Apache Solr Velocity模版注入远程命令执行漏洞预警

腾讯电脑管家

文档信息

漏洞描述

近日,国外安全研究员S00py公开了一个Apache Solr的Velocity模板注入的漏洞。

Solr集成的VelocityResponseWriter组件，可以允许攻击者构造特定请求修改相关配置，使VelocityResponseWriter组件允许加载指定模板，从而导致Velocity模版注入远程命令执行漏洞。目前漏洞处于0day状态，并且EXP已被公开,经腾讯安全御见威胁情报中心研判该EXP真实有效。

CVE编号

暂无

漏洞等级 高危

影响范围

Apache Solr (未完全测试，但包括不限于8.2.0版本)

修复建议

Apache Solr官方未发布该漏洞的补丁，请密切关注Solr官方以便获取更新信息：https://lucene.apache.org/solr/

推荐企业用户使用腾讯御知检测内网系统是否存在该漏洞，可合并使用腾讯御界来检测黑客利用该漏洞的攻击行为。

腾讯御知可检测Apache Solr模板远程代码执行漏洞

腾讯御界可检测黑客利用Apache Solr模板远程代码执行漏洞的攻击

参考资料

https://lucene.apache.org/solr/

时间线:

2019.10.31，GitHub上出现漏洞poc

2019.10.31，腾讯安全御见威胁情报中心发布漏洞预警

腾讯御知免费试用

腾讯御知是一款自动探测网络资产并识别风险的产品，能够对网络设备及应用服务进行持续性的资产探测、漏洞检测和内容风险监测，并提供专业的修复建议，降低企业安全风险，是企业检测网络资产风险的必备利器。

腾讯御知融合了腾讯内部安全最佳实践产品能力，服务于腾讯内部超过100万台自营服务系统，涵盖腾讯云、社交、游戏等重点业务。

企业用户可通过访问腾讯云（https://cloud.tencent.com/act/free?from=10107）->免费产品企业专区->网络资产风险监测系统，申请7天免费试用。

有关腾讯御知更多功能及应用场景详见官方网站的介绍：https://cloud.tencent.com/product/narms